CONFIGURATION PARAMETER连接和认证 / SSL

ssl_cert_file

设置 SSL 服务器证书文件的位置。

Location of the SSL server certificate file.

字符串重载生效引入 9.2 现存至 20 devel 0 次默认值变更

类型: 字符串string
上下文: 重载生效改配置文件后重载（pg_ctl reload / SIGHUP）即可生效
默认值: server.crt
分类: 连接和认证 / SSL
引入版本: 9.2
状态: 现存

PostgreSQL 18 手册官方文档引入提交 a445cb92ef

版本轨迹

相对 PostgreSQL 17 无变化。

默认值变迁

server.crt 9.2 – 20

已记录的默认值在 PostgreSQL 9.2–20 之间未变。带单位的取值换算成了可读形式，原始的 boot_val 与单位写在悬浮提示里。

手册说明

PostgreSQL 18 手册 · 19.3 连接和认证本站手册官方原文

本版译文与 PostgreSQL 10 完全一致，下面就是同一段文字。

指定包含 SSL 服务器证书的文件名。相对路径是相对于数据目录的。这个参数只能在postgresql.conf文件中或者服务器命令行上设置。默认值是server.crt。

机制详解

ssl_cert_file：设置 SSL 服务器证书文件的位置。PEM 文件提供服务器叶证书，也可包含向客户端呈现完整链所需的中间证书。

ssl_cert_file 属于 SIGHUP 上下文：重新加载配置即可在不重启的情况下激活服务器新值，后续读取它的操作使用刷新值。既有 TLS 会话不会重新协商。

它参与新握手使用的 TLS 上下文。ssl 启用传输，pg_hba.conf 决定哪些连接类别必须使用它，而证书、私钥、CA、吊销、协议与密码参数必须组成一套有效策略。

调优建议

按典型负载给出的取值思路，不是放之四海皆准的配方：实际取值要看数据量、并发度与硬件。

OLTP在线事务处理

部署的证书应在密钥用途、SAN、有效期和证书链上匹配所有对外数据库端点。删除旧证书前，测试重载和新的客户端握手。
OLAP分析与批处理

分析端点需要相同身份保证；若使用独立名称，应签发正确 SAN，而不是复用名称不匹配的证书。
小规格低配实例与开发机

自动化续期与到期告警。小节点不会因缩短到客户端无法建立信任的链获益，只保留必要叶证书与中间证书。

常见问题

编辑 ssl_cert_file 后没有重新加载配置，也没有核对有效值与后续行为。
只更新一个 TLS 文件或策略参数，留下无效证书链、不可读私钥或不兼容协议集合。
误以为重新加载会重新协商既有会话；TLS 策略变化只影响新握手。
没有回滚计划及客户端或运维兼容测试，就全局修改 ssl_cert_file。

演化历史

相邻两个大版本之间的差异，新的在前。版本号链到该版的快照。

PostgreSQL 20 ← 19 沿用 19

事实沿用 19
PostgreSQL 11 ← 10 仅描述更新

分类 Connections and Authentication / Security and Authentication Connections and Authentication / SSL
PostgreSQL 10 ← 9.6 属性变更

上下文 重启生效 重载生效
PostgreSQL 9.2 ← 9.1 新增此参数

PostgreSQL 9.2 起可用

逐版本快照

每个收录版本里的 7 项事实，与上一个存在的版本不同的格子带底色。版本号链到该版。

版本	默认值	单位	上下文	类型	最小值	最大值	枚举值
9.2	`server.crt`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.3	`server.crt`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.4	`server.crt`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.5	`server.crt`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
9.6	`server.crt`	`—`	`重启生效`	`字符串`	`—`	`—`	`—`
10	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
11	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
12	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
13	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
14	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
15	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
16	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
17	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
18	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
19	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`
20 沿用	`server.crt`	`—`	`重载生效`	`字符串`	`—`	`—`	`—`

参考资料

同类参数

参数	类型	上下文	默认值	最近变更
Connections and Authentication 连接和认证 17 个 ↗
SSL 17
`ssl`	布尔	重载生效	`off`	101 次
启用 SSL/TLS 连接。				现存
`ssl_ca_file`	字符串	重载生效	`空字符串`	101 次
设置 SSL 证书颁发机构文件的位置。				现存
`ssl_cert_file`	字符串	重载生效	`server.crt`	101 次
设置 SSL 服务器证书文件的位置。				现存
`ssl_ciphers`	字符串	重载生效	`HIGH:MEDIUM:+3DES:!aNULL`	103 次
设置 TLS 1.2 及更低版本允许使用的密码套件列表。				现存
`ssl_crl_dir`	字符串	重载生效	`空字符串`	—
设置 SSL 证书吊销列表目录的位置。				现存
`ssl_crl_file`	字符串	重载生效	`空字符串`	101 次
设置 SSL 证书吊销列表文件的位置。				现存
`ssl_dh_params_file`	字符串	重载生效	`空字符串`	—
设置 SSL DH 参数文件的位置。				现存
`ssl_ecdh_curve`	字符串	重载生效	`prime256v1`	101 次
设置 ECDH 使用的椭圆曲线。				于 18 移除
`ssl_groups`	字符串	重载生效	`X25519:prime256v1`	—
设置 Diffie-Hellman 密钥交换使用的组。				现存
`ssl_key_file`	字符串	重载生效	`server.key`	101 次
设置 SSL 服务器私钥文件的位置。				现存
`ssl_max_protocol_version`	枚举	重载生效	`空字符串`	—
设置允许使用的最高 SSL/TLS 协议版本。				现存
`ssl_min_protocol_version`	枚举	重载生效	`TLSv1.2`	131 次
设置允许使用的最低 SSL/TLS 协议版本。				现存
`ssl_passphrase_command`	字符串	重载生效	`空字符串`	—
设置用于获取 SSL 私钥口令的命令。				现存
`ssl_passphrase_command_supports_reload`	布尔	重载生效	`off`	—
控制重新加载服务器配置时是否调用 ssl_passphrase_command。				现存
`ssl_prefer_server_ciphers`	布尔	重载生效	`on`	101 次
优先采用服务器端的密码套件顺序。				现存
`ssl_sni`	布尔	重载生效	`off`	—
设置是否解释 SSL 连接中的 SNI 扩展。				现存
`ssl_tls13_ciphers`	字符串	重载生效	`空字符串`	—
设置 TLS 1.3 允许使用的密码套件列表。				现存

快速链接